El equipo de inteligencia de amenazas Cisco Talos ha revelado una campaña de robo de credenciales a gran escala que afecta a aplicaciones basadas en Next.js y componentes de servidor asociados.
Según la investigación, al menos 766 sistemas habrían sido comprometidos mediante la explotación de una vulnerabilidad crítica que permite ejecución remota de código (RCE).
Una vulnerabilidad crítica en Next.js y React Server Components
La campaña se basa en la explotación de CVE-2025-55182, una falla de deserialización previa a la autenticación que afecta a:
- React Server Components
- Implementaciones de Next.js generadas incluso con configuraciones por defecto
- Endpoints de funciones de servidor
Lo más preocupante es que el ataque puede ejecutarse con una sola solicitud HTTP especialmente diseñada, sin necesidad de credenciales previas.
Este tipo de vulnerabilidad se considera especialmente grave porque reduce casi a cero la barrera de entrada para los atacantes.
El malware automatizado: NEXUS Listener
Una vez que los atacantes logran acceso, se despliega un toolkit automatizado conocido como “NEXUS Listener”, asociado al grupo UAT-10608.
Este sistema está diseñado para:
- Extraer variables de entorno del servidor
- Robar claves SSH privadas
- Capturar tokens de API (GitHub, Stripe, etc.)
- Acceder a credenciales de bases de datos
- Consultar servicios de metadatos en la nube (AWS, Azure, Google Cloud)
- Exfiltrar credenciales de Kubernetes y contenedores
Toda la información se envía a un servidor de comando y control donde los atacantes la analizan y organizan.
Impacto en entornos cloud
La campaña es especialmente peligrosa en infraestructuras en la nube mal configuradas.
En servicios como los de Amazon Web Services, el acceso a metadatos de instancias puede permitir:
- Credenciales temporales con permisos elevados
- Acceso a almacenamiento (S3)
- Control de recursos de cómputo
- Acceso a gestores de secretos
Informes previos indican que una parte significativa de entornos cloud expuestos puede ser vulnerable a este tipo de abuso.
Tipo de datos robados
Entre los datos exfiltrados se incluyen:
- Tokens de autenticación
- Claves privadas SSH
- Credenciales de bases de datos en texto plano
- API keys de servicios externos
- Credenciales de acceso a infraestructura cloud
Este tipo de información permite a los atacantes escalar rápidamente dentro de una organización.
Recomendaciones de seguridad
Cisco Talos recomienda una respuesta inmediata por parte de las organizaciones afectadas:
- Aplicar parches en Next.js y React Server Components
- Rotar todas las credenciales potencialmente expuestas
- Aplicar principio de mínimo privilegio
- Habilitar escaneo de secretos en CI/CD
- Activar IMDSv2 en instancias AWS
- Revisar logs de acceso y actividad sospechosa